CVE-2026-108162

Pingvin Share X versions before 1.22.0 are vulnerable to a rate limit bypass because the application's backend/src/main.ts unconditionally trusts proxy headers. This allows unauthenticated remote attackers to evade per-IP throttling by rotating spoofed X-Forwarded-For values. Attackers can target...

EUVD-2026-96317

Pingvin Share X before 1.22.0 contains a rate limit bypass vulnerability that allows unauthenticated remote attackers to evade per-IP throttling because backend/src/main.ts unconditionally trusts proxy headers. Attackers can rotate spoofed X-Forwarded-For values against /api/auth/signIn,...

batchql

BatchQL BatchQL هي أداة تدقيق أمني لـ GraphQL تركز على تنفيذ استعلامات وتحويرات مجمعة batch queries and mutations. هذه الأداة ليست معقدة، ونرحب بتحسيناتها. عند استكشاف مجال هجمات التجميع batching attacks في GraphQL، وجدنا أن هناك عددًا قليلًا من المقالات على الإنترنت، ولكن لا توجد أداة لتنفيذ هجم...

requests-ip-rotator

برعاية Swiftproxy بروكسيات سكنية عالية الأداء مع مجموعة IP تتجاوز 80 مليون عبر أكثر من 195 دولة — تحسّن معدلات نجاح الطلبات وتقلل حظر عناوين IP أثناء جمع البيانات على نطاق واسع وأتمتة المتصفحات. مثالية للاستخدام مع requests-ip-rotator و Playwright و Selenium وأدوات السكرابينغ الأخرى. ابدأ النسخة...

GHSA-M469-88XX-8RX2 Vikunja: CalDAV and feeds BasicAuth endpoints have no rate limit, bypassing the anti-brute-force floor on account passwords

Summary The /dav, /.well-known, and /feeds groups are registered on the root Echo instance with only BasicAuth and no rate limiter. CalDAV BasicAuth accepts the plain account password, so password guessing over /dav is unbounded and never returns 429, while /api/v1/login is throttled from the ten...

Vikunja: CalDAV and feeds BasicAuth endpoints have no rate limit, bypassing the anti-brute-force floor on account passwords

Summary The /dav, /.well-known, and /feeds groups are registered on the root Echo instance with only BasicAuth and no rate limiter. CalDAV BasicAuth accepts the plain account password, so password guessing over /dav is unbounded and never returns 429, while /api/v1/login is throttled from the ten...

Vikunja: Every /api/v2 pre-auth endpoint is unthrottled on a stock install while its /api/v1 twin is rate limited

Summary registerAPIRoutesV2 never applies the unconditional pre-auth rate-limit floor unauthRateLimit to the v2 public routes — it passes that limiter only to /api/v2/ws — and otherwise relies on setupRateLimit, which registers nothing when ratelimit.enabled is false the default. So on a stock...

CVE-2025-61560

A race condition vulnerability in the SessionManager of CNCF: Cloud Native Computing Foundation Argo CD v3.0.6 allows attackers to bypass rate limiting and perform a brute force attack via repeated crafted requests...

CVE-2024-41276

CVE-2024-41276 تجاوز مصادقة Kaiten Kaiten - نظام إدارة سير العمل. تسمح ثغرة أمنية في Kaiten للمهاجمين بتجاوز آلية مصادقة رمز PIN. يتطلب التطبيق من المستخدمين إدخال رمز PIN مكون من 6 أرقام يُرسل إلى بريدهم الإلكتروني للتحقق بعد إدخال بيانات تسجيل الدخول. ومع ذلك، يمكن تجاوز آلية الحد من الطلبات...

CVE-2026-11103-GraphQL-Batching-Alias-Rate-Limit-Bypass

3. CVE-2026-11103 – Обход ограничения частоты запросов GraphQL через алиасы при пакетной обработке Код программы эксплойт Node.js + Python // graphqlratelimitserver.js - GraphQL with naive rate limiter const express = require'express'; const graphqlHTTP = require'express-graphql'; const...

goop

goop ساحب نتائج بحث Google ملاحظة: لم يعد يعمل. أخبرني فريق Google أنها ليست مشكلة مشروعة عندما أبلغتهم بها ولكن الآن قاموا بإصلاحها بصمت. المحتويات مقدمة كيف يعمل؟ الاستخدام التثبيت مثال الإخلاء القانوني وبيان المسؤولية مقدمة يمكن لـ goop إجراء عمليات بحث في Google دون أن يتم حظرها بواسطة اختبار...

xmlrpc-brute

أداة اختراق ووردبريس عبر XML-RPC أداة مصممة لاختبار مواقع ووردبريس بحثًا عن ثغرات XML-RPC من خلال محاولة تخمين بيانات اعتماد المستخدمين عبر واجهة XML-RPC. الوصف تختبر هذه الأداة تثبيتات ووردبريس بحثًا عن ثغرات المصادقة عبر XML-RPC. يمكنها تنفيذ هجمات تخمين قياسية أو استخدام system.multicall لاختب...

CVE-2016-16113-POC

احصل على RCE - استغلال نظام Bludit CMS | | / / \ / | | \ \ / / ' | | | | ' | | | | | \ V /| | | | || | | | | | | | ,|/ / || ||/|| || ||| أداة استغلال آلية تجمع بين CVE-2019-17240 تجاوز المصادقة و CVE-2019-16113 رفع ملف عشوائي لتحقيق تنفيذ تعليمات برمجية عن بُعد على تركيبات Bludit CMS القابلة...

CVE-2026-107271

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

CVE-2026-107271

Gophish versions through 0.12.1 are vulnerable to a rate limit bypass in the /login endpoint. The root cause is the improper handling of X-Forwarded-For or X-Real-IP headers, which allows unauthenticated attackers to spoof their source IP address with each request. Because the rate limiter keys o...

CVE-2026-107271 Gophish through 0.12.1 Login Rate Limit Bypass via X-Forwarded-For Spoofing

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

CVE-2026-107271 Gophish through 0.12.1 Login Rate Limit Bypass via X-Forwarded-For Spoofing

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

CVE-2026-107271 Gophish through 0.12.1 Login Rate Limit Bypass via X-Forwarded-For Spoofing

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

EUVD-2026-94402

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...

PT-2026-107575

Gophish through 0.12.1 contains a rate limit bypass vulnerability that allows unauthenticated attackers to evade /login throttling by spoofing X-Forwarded-For or X-Real-IP headers. Attackers can send a different forwarded address per request so the limiter keyed on rewritten RemoteAddr never...